11 de agosto de 2026
LUCHAR CONTRA LA SUPLANTACIÓN DE IDENTIDAD SÍ, PERO RESPETANDO LOS DERECHOS DEL SUPLANTADO
Por: Dionisio Manuel de la Cruz Camargo[1]
Los tiempos en donde la cédula de ciudadanía era el documento único y suficiente para demostrar la identidad de las personas ha quedado en el pasado. A partir del tráfico mercantil que se ha desarrollado a lomos de la tecnología, donde la identificación de las partes es uno de los asuntos más delicados debido a los riesgos de suplantación de alguno de los extremos de la relación contractual.
Según la Superintendencia de Industria y Comercio, desde el 2020 se han presentado 40.316 denuncias por suplantación de identidad[2], que es una situación que deja a los consumidores en una situación de vulnerabilidad particularmente grave: i) como deudor de una acreencia que no adquirió; ii)reportado a las centrales de Riesgo como moroso; y, iii) envuelto en la tramitología propia de nuestro país, en la que se le exige que demuestre que fue suplantado y, sólo en ese momento, años después, quizá pueda rehacer su crédito.
En el anterior contexto, la Ley 2573 de 2026, que además tiene el carácter de Estatutaria, se expidió como una respuesta legislativa frente al creciente fenómeno de la suplantación de identidad. En principio, la norma representa un avance importante, pues busca fortalecer los mecanismos para que quienes han sido víctimas de este delito puedan frenar las consecuencias negativas que esta conducta le acarrea. Desde esta perspectiva, la ley persigue un objetivo legítimo y constitucionalmente valioso: proteger los derechos de las personas suplantadas del reporte negativo ante distintos tipos de proveedores a los cuales se dirige la ley.(art. 1 ley 2573 de 2026).
No obstante, la norma genera un riesgo fundamental desde la óptica del derecho fundamental a la protección de datos personales y es, que algunos responsables y encargados del tratamiento interpreten la ley como una autorización para imponer procedimientos de autenticación basados en el tratamiento obligatorio de datos sensibles, especialmente datos biométricos, sin ofrecer a los titulares mecanismos alternativos de verificación de identidad.
El Riesgo, surge desde el artículo 5 numeral 1 de la norma, que especifica que “los operadores de telecomunicaciones y las entidades financieras y/o crediticias y demás establecimientos comerciales con esta competencia”, se encuentran obligados a “adoptar las medidas de seguridad digital suficientes y razonables necesarias para establecer la veracidad de la identidad de las personas y los documentos presentados para adquirir sus productos y /o servicios”.
Existe la falsa creencia que el dato sensible y específicamente el dato biométrico es un mecanismo infablible o por lo menos el que otorga mejores elementos para verificar la identidad de una persona. Esto, aunado al hecho de que el acceso a la tecnología que permite la recolección del dato biométrico es cada vez más viable, lo que genera un escenario fertil para el requerimiento ilimitado y desproporcionado de ese tipo de datos.
Recordemos que los datos sensibles, dentro de los cuales se clasifica el dato biométrico, gozan de un régimen de protección reforzada tanto en la Constitución Política como en la Ley 1581 de 2012. La regla general es que el titular no puede ser obligado a suministrar esta clase de información como condición para acceder a un producto, servicio o derecho, salvo en los casos expresamente previstos por la ley y siempre aplicando los principios de necesidad, proporcionalidad y finalidad (arts. 4 ley 1581 de 2012; 6 dcr. 1377 de 2013).
La protección frente a la suplantación de identidad no debería convertirse, entonces, en una justificación para debilitar las garantías que históricamente han acompañado el tratamiento de la información más íntima de las personas. Entre otras cosas, porque no existe tal infalibilidad de tales datos por sí solos para una verificación absoluta. Así, son los medios donde se combinen distintos factores de verificación los que más se pueden aproximar a esa identificación deseada, sin que sea necesario afectar la intimidad de las personas[3] y esto dependerá de un adecuado entendimiento de los principios de necesidad y proporcionalidad.
En la práctica, teniendo en cuenta que en nuestro país cualquiera se siente con derecho a exigir el escaneo de la cédula, tomar una fotografía, exigir la huella e incluso la biometría facial para permitir el ingreso a una propiedad horizontal o a cualquier facilidad que no representa ningún Riesgo particular, se podría extender la costumbre de exigir estos y otros datos biométricos como requisito indispensable con la excusa de evitar el fraude o para realizar trámites cotidianos los cuales quedan en manos de empresas que seguramente no cuentan con la ciberseguridad necesaria para proteger ese tipo de datos.
Si tales mecanismos se implementan sin alternativas razonables de verificación, el consentimiento del titular dejaría de ser realmente libre, pues la negativa a entregar sus datos sensibles implicaría la imposibilidad de acceder al servicio.
Esta situación generaría una tensión evidente entre dos derechos igualmente protegidos por el ordenamiento jurídico: la necesidad de empresas prestadoras de servicios de evitar fraudes y la autodeterminación informática. La lucha contra la suplantación no puede traducirse en una reducción del nivel de protección de los datos personales ni en una transferencia desproporcionada de los riesgos hacia los ciudadanos.
Por el contrario, la aplicación de la Ley 2573 de 2026 debe armonizarse con los principios de finalidad, necesidad, proporcionalidad, libertad y minimización de datos, garantizando que los responsables solo soliciten información estrictamente necesaria y que siempre existan mecanismos alternativos de verificación para quienes decidan no suministrar datos sensibles.
En definitiva, el verdadero desafío no consiste únicamente en prevenir la suplantación de identidad, sino en hacerlo sin sacrificar el núcleo esencial del derecho fundamental al hábeas data. La eficacia de la ley deberá medirse no solo por la disminución del fraude, sino también por su capacidad para preservar la libertad de los titulares de decidir sobre el tratamiento de su información más sensible.
[1] Docente del Departamento de Derecho de la Empresa y los Mercados
[2] https://sedeelectronica.sic.gov.co/noticias/la-sic-alerta-por-aumento-de-suplantacion-de-identidad-en-el-pais-y-lanza-campana-para-prevenir-fraudes-digitales)
[3] Manual de legislación europea en materia de protección de datos edición 2018. https://fra.europa.eu/sites/default/files/fra_uploads/fra-coe-edps-2018-handbook-data-protection_es.pdf